Em 1971, estreava nos cinemas Willy Wonka & the Chocolate Factory, adaptação do livro de Roald Dahl lançado em 1964. A premissa é de uma genialidade comercial quase indecente: cinco bilhetes dourados escondidos em barras de chocolate vendidas no mundo inteiro. Ninguém sabe em qual embrulho está o prêmio, ninguém sabe quantas barras será preciso comprar, e cada notícia de que alguém achou um bilhete só faz o resto do planeta comprar mais. No livro e no filme, o pai de Veruca Salt resolve o problema do jeito mais direto: põe a fábrica de amendoins inteira para desembrulhar barras, aos milhares, até que a filha tenha o seu bilhete.
Quem ganha o bilhete é recebido por Wonka com um contrato extenso, em letra miúda, que ninguém lê. No filme, é essa letra miúda que o dono da fábrica invoca quando algo dá errado: o aviso estava lá, e o visitante assinou. A fábrica nunca perguntou a idade de ninguém. Os visitantes eram crianças, e toda a proteção estava depositada em uma assinatura.
55 anos depois, o bilhete dourado mora dentro dos jogos eletrônicos. Na semana do Dia das Crianças, o Ministério da Justiça e Segurança Pública divulgou a Nota Técnica nº 55/2026, da Secretaria Nacional de Direitos Digitais, que pede à Agência Nacional de Proteção de Dados (ANPD) que avalie incluir o monitoramento das caixas de recompensa (loot boxes) entre suas prioridades. O documento reúne evidências científicas, examina os primeiros seis meses de vigência do ECA Digital (Lei nº 15.211/2025) e aponta seis jogos populares que, segundo o levantamento, continuam vendendo a chance sem comprovar que impedem a entrada de quem tem menos de 18 anos.
A pergunta que importa é simples: quem está de guarda no portão da fábrica?
A caixa de recompensa vende a chance, não o chocolate
O art. 2º, inciso IV, da Lei nº 15.211/2025 define legalmente o que é uma caixa de recompensa: “funcionalidade disponível em certos jogos eletrônicos que permite a aquisição, mediante pagamento, pelo jogador, de itens virtuais consumíveis ou de vantagens aleatórias, resgatáveis pelo jogador ou usuário, sem conhecimento prévio de seu conteúdo ou garantia de sua efetiva utilidade”. Em português simples: paga-se antes de saber o que vem dentro, e o sorteio segue probabilidades que o próprio fornecedor define. Ninguém compra um item. Compra-se a chance de obtê-lo.
O nome muda conforme o jogo. Em títulos de futebol e basquete, aparecem como pacotes de cartas. Em Counter-Strike 2, são caixas abertas com chaves pagas. Em Genshin Impact, chamam-se “invocações”. A natureza é a mesma, e a Nota Técnica da Secretaria registra que a variedade de nomes não a altera.
O público que joga é imenso. Segundo a pesquisa TIC Kids Online Brasil 2025, citada na Nota, 70% dos usuários de 9 a 17 anos jogaram on-line. E a literatura reunida pelo documento aponta numa direção consistente. Um estudo publicado na Scientific Reports encontrou que, entre compradores de caixas de recompensa, o risco de sofrimento psicológico grave, medido em escala clínica padronizada, quase dobra (1,87 maior) em relação a não compradores. Um estudo longitudinal com 2.213 adolescentes espanhóis, acompanhados por seis meses, verificou que a compra de caixas se associava à participação em apostas on-line seis meses depois.
É preciso dizer o que isso não prova. A própria Nota ressalva, nos itens 1.3 e 10.1, que associação estatística não autoriza afirmar relação causal direta com transtornos clínicos. E, no item 7.2, reconhece que o Decreto nº 12.880/2026 não equipara caixas de recompensa e apostas, embora trate ambos como produtos proibidos para crianças e adolescentes. A semelhança é funcional, não jurídica: pagamento, aleatoriedade e expectativa de ganho, em ambiente de entretenimento.
O documento recorre ao que se sabe do desenvolvimento cognitivo para explicar por que isso pesa mais sobre quem é mais jovem: dificuldade de avaliar probabilidades, de controlar impulsos e de dimensionar gastos acumulados. O dano financeiro, aliás, tem uma particularidade: o dinheiro costuma ser de terceiros, em regra da família.
A lei não proíbe o jogo, proíbe o bilhete dourado para crianças e adolescentes
Há um erro de leitura que se repete e que convém desfazer logo. O art. 20 da Lei nº 15.211/2025 veda as caixas de recompensa em jogos eletrônicos direcionados a crianças e adolescentes ou de acesso provável por eles. O Decreto nº 12.880, de 18 de março de 2026, detalha o cumprimento em seu art. 23, que oferece três caminhos aos fornecedores: verificar a idade dos usuários e bloquear a funcionalidade para crianças e adolescentes; oferecer uma versão do jogo sem caixas de recompensa; ou restringir totalmente a funcionalidade, por padrão.
O jogo, portanto, pode continuar existindo. Adultos podem continuar comprando. O que a lei exige é que o acesso de crianças e adolescentes seja efetivamente impedido. E “efetivamente” é a palavra que sustenta todo o resto.
A falácia do aviso na porta: informar não é impedir
Voltemos ao contrato de Willy Wonka. A lógica da fábrica era a da simples informação como anteparo: o aviso foi dado, a assinatura foi colhida, a responsabilidade mudou de lado. É exatamente essa lógica que a Nota Técnica rejeita.
Advertências, descritores de conteúdo, divulgação de probabilidades, controles meramente facultativos e consentimento de pais e responsáveis não substituem, isoladamente, as medidas necessárias para impedir o acesso. A razão é direta: advertir não reduz na prática o real risco de utilização por quem a lei quer proteger.
O mesmo vale para a classificação indicativa. Subir um jogo para 18 anos informa a faixa etária, mas, nas palavras do documento, “a mera indicação da faixa etária própria não veda o acesso”. É um aviso colado na porta, não uma tranca.
Em termos jurídicos, a distinção é a velha oposição entre obrigação de meio e obrigação de resultado. O art. 15, caput, do Decreto nº 12.880/2026 obriga o fornecedor a implementar mecanismos eficazes de verificação de idade e a impedir efetivamente o acesso. Não basta ter feito algo razoável. É necessário que crianças e adolescentes, efetivamente, não consigam abrir o pacote desse chocolate, inapropriado para a idade.
E a Nota vai além: a exigência recai sobre o acesso à funcionalidade, não sobre o jogo inteiro, e vale inclusive quando a compra ocorre com moeda virtual, em ambiente vinculado ou em etapa transacional distinta do acesso geral ao jogo. Quem acha que basta trocar o nome da moeda para escapar da regra está, mais uma vez, relendo o contrato de Willy Wonka em busca de uma cláusula, e não preocupado com a proteção integral.
Seis jogos no radar e uma agência que ainda vai decidir por onde começar
A Nota recomenda priorizar o monitoramento de seis títulos em que a funcionalidade permanece disponível: NBA 2K26, WWE 2K26, Counter-Strike 2, Call of Duty, Genshin Impact e PUBG Mobile. Quase todos tiveram a classificação indicativa elevada para 18 anos, mas, segundo o levantamento da Coordenação-Geral de Políticas de Classificação Indicativa, não implementaram, ou não confirmaram, mecanismos eficazes de verificação de idade. Do lado oposto, a tabela do documento registra títulos que retiraram as caixas do mercado brasileiro e outros que adotaram verificação, como a exigência de CPF, RG, CNH ou reconhecimento facial em jogos da Riot Games.
É importante não ler mais do que está escrito. O levantamento é preliminar e não exaustivo. Ele não permite concluir, por si só, pela conformidade ou pelo descumprimento da lei por qualquer fornecedor, e prevê expressamente o contraditório e a ampla defesa. Além disso, o que a Nota propõe é que a ANPD avalie incluir o tema entre suas prioridades de monitoramento. Portanto, a decisão sobre o que fazer, e quando, será da Agência.
A fiscalização plena de violações ao ECA Digital deve começar em janeiro de 2027, com multas que variam de R$ 10 por usuário afetado até o teto de R$ 50 milhões por infração. A ANPD já elegeu lojas de aplicativos e sites pornográficos como alvos prioritários da verificação de idade, e as lojas ganharam destaque porque conseguem enviar sinais de idade a todos os programas disponíveis em suas prateleiras. Aí uma pergunta técnica se impõe: onde deve morar a verificação de idade?
Minha aposta, ousada e provisória: uma tranca em cada camada
O que diz a Nota está evidente: o dever recai sobre quem oferece o jogo, a verificação deve alcançar a funcionalidade vedada e a ANPD pode determinar medidas técnicas adicionais para impedir ou dificultar mecanismos de burla, conforme o art. 29 do Decreto nº 12.880/2026. Reclassificar o título não substitui um mecanismo tecnicamente efetivo.
Esse é o texto oficial. Mas tenho a minha opinião, ousada e provisória, sujeita a convencimento em contrário. Eu acredito que a resposta mais segura é a verificação em múltiplas camadas, em redundância: no jogo, na loja de aplicativos e no sistema operacional.
O raciocínio vem da segurança da informação, onde se aprendeu, a duras penas, que defesa de camada única é defesa de ponto único de falha. Cada camada enxerga uma parte diferente do problema. O jogo conhece a conta, o histórico e o momento da compra. A loja controla a distribuição do aplicativo e o meio de pagamento. O sistema operacional reconhece o aparelho e pode sustentar um sinal de idade que acompanhe a pessoa por todos os programas. Cada camada também falha de um jeito próprio: uma estimativa facial de idade pode ter falso positivo, barrando um adulto, e falso negativo, deixando passar um adolescente; um cadastro com data de nascimento falsa engana a loja, mas dificilmente engana todos os controles ao mesmo tempo. A redundância é o que transforma a falha de uma camada em um alerta da seguinte, em vez de uma porta aberta.
Mais do que arquitetura, para mim essa é uma questão de responsabilidade. O art. 227 da Constituição Federal estabelece que é “dever da família, da sociedade e do Estado” assegurar à criança, ao adolescente e ao jovem, com absoluta prioridade, o direito à vida, à saúde e à dignidade, além de colocá-los a salvo de toda forma de negligência e exploração. A redação não pede que o dever caiba a um só agente. A proteção integral e com prioridade absoluta só se realiza quando cada elo da cadeia (quem faz o jogo, quem distribui, quem fabrica o aparelho, quem cuida da criança em casa, quem fiscaliza) assume o seu pedaço e responde por ele. Concentrar tudo em uma única camada é uma forma elegante de ninguém se responsabilizar por nada, fazendo valer a lógica da informação nas linhas miúdas.
Há uma ressalva que considero inseparável da proposta. Mais camadas não podem significar mais coleta. Se cada camada exigir documento, rosto e CPF, a proteção de crianças vira uma máquina de dados pessoais de toda a população, e a Lei nº 15.211/2025 existe para proteger privacidade também. O desenho que defendo troca o mínimo necessário, um sinal de idade, e não uma pilha de documentos copiada em cada etapa.
É uma aposta, e assumo que pode falhar na execução. Mas a alternativa testada, a de confiar em um aviso e em uma faixa etária, já tem resultado conhecido.
Contrato não é tranca
No fim, a fábrica de Wonka nunca foi o lugar mais perigoso do mundo. Era um lugar mais descuidado do que malicioso, com muitas maravilhas, um dono genial e um portão guardado por uma folha de papel. O problema nunca foi a surpresa escondida na barra de chocolate: a surpresa é o que torna o chocolate bom. O problema foi achar que o contrato bastava para proteger quem entrava.
As caixas de recompensa são a fábrica inteira num único clique. O ECA Digital respondeu com uma proibição que não depende de dano consumado e que exige resultado material. A Nota Técnica nº 55/2026 pede que a ANPD olhe para quem ainda confia na letra miúda. Agora cabe a cada camada, do jogo ao aparelho, do pagamento à casa, trancar a sua porta. Vejamos o que dirá a Agência.
